Ce qu’il faut savoir pour gérer un programme *minimal *de sécurité de l’information dans un contexte corporatif.
Source: https://www.cam.ac.uk/news/cambridge-to-host-transatlantic-cyber-security-competition
Avant de commencer, il est important de noter qu’il n’y a pas de structure ou de modèle unique en matière de gouvernance et de gestion de la sécurité de l’information. Plusieurs modèles ont leurs avantages et inconvénients. Revenons à la base pour mieux construire la structure.
L’objectif d’un programme de sécurité de l’information et de comprendre et de gérer les risques qui sont associés à l’entreprise.
Donc avant de débuter tout programme de sécurité il est important de se poser différentes questions, telles que:
- Quelle est notre connaissance générale des principales menaces en sécurité de l’information ?
- Connaissons-nous les menaces associées à notre secteur d’activités?
- Avons-nous des risques particuliers liés à notre modèle d’affaires?
- Y a-t-il des enjeux associés à notre organisation? Tel que roulement de personnel, équipe non qualifiée, utilisation de la sous-traitance. etc.
- Y a-t-il des lois, normes et standards associés à notre secteur que nous devrions connaître et maîtriser afin de s’y conformer?
Finalement, il faut reconnaître l’éléphant dans la pièce, c’est-à-dire les moyens dont dispose l’entreprise, autant en argent pour payer des licences logicielles, des abonnements, et du matériel qu’en ressources humaines? Quel est le niveau de connaissance de nos ressources en matière de sécurité de l’information.
Rôle de la direction
La sécurité doit partir de la direction, c’est à elle que revient le rôle de donner le rythme en matière de sécurité de l’information. La direction de l’entreprise doit comprendre les deux leviers qu’elle dispose. Ces deux leviers (moyens) sont utiles pour gérer ou ajuster son programme de sécurité.
Le 1er levier consiste à définir les objectifs ou besoins en matière de sécurité de l’information. On comprend qu’un objectif doit être “S.M.A.R.T — Specific, Measurable, Achievable, Relevant, and Time-bound”, Aussi il est important de comprendre que la sécurité de l’information se définit en 3 grandes catégories:
- Protégé la confidentialité
- maintenir l’intégrité
- assurée la disponibilité de ces systèmes d’information.
La direction doit donc répondre à la question: “Ça veut dire quoi devenir sécure?” Le rôle du RSSI(CISO) consiste à conseiller et accompagner la direction dans la recherche de cette réponse. Puisque répondre “on veut que tout soit sécure n’est pas une bonne réponse.”
Voici quelques exemples d’objectifs :
- Devenir conforme à une norme (PCI-DSS, ISO27001, QC-Loi 25, cybersécuritaire Canada)
- S’assurer de faire les mises à jour de tous les systèmes à l’intérieur de 30 jours
- S’assurer de corriger les failles découvertes dans un délai de 15 jours
- Fournir un service infonuagique fiable 99,9%
- Promouvoir, encourager et structurer l’amélioration continue de la sécurité de l’information.
- Mettre en place un programme pour la sensibilisation et l’éducation des employés.
Le 2e levier représente les ressources qu’elle met à la disposition de l’équipe opérationnelle pour atteindre l’objectif défini préalablement.
Le budget est important à cette étape, définir les coûts (Salaire, technologies, licences, etc.) Selon différentes études de la firme d’analyste Gartner (Lien ici et liens ici) dont celle de décembre 2016 nous indique que les entreprises qu’ils ont étudiées consacrent en moyenne 5,6 % de leur budget informatique global à la cybersécurité, avec une marge d’environ 1 % à 13 %.
Nous avons alors une idée de ce qu’est un budget standard en matière de sécurité de l’information. Malheureusement, il n’existe pas de budget uniforme, même au sein d’un même secteur d’activités.
Exemple d’items du budget
- Formation et sensibilisation : 20$/utilisateur/année
- Test d’intrusion — 10k$ à 20k$
- Gestion des vulnérabilités: 5000$ par année
- Voûte des mots de passe: 100$/année/utilisateur
- Outils de sauvegarde: 20$/100G/mois
- SIEM: 10,000$
- Gestionnaire d’équipement mobile (MDM : 10$ à 40$/année/équipement)
- Antivirus: Entre 20$ et 100$/année/équipement
- CISO virtuel: 60k$ à 200k$ par année.
- Assurance risque: en fonction de vos clients et structure, mais possiblement 10k$ à 15k$
Choisissez donc votre budget en fonction du choix soit de la qualité, des coûts et des délais estimés par votre objectif.
Choisir lequel prioriser!
C’est le rôle de l’équipe des opérations de proposer et mettre en œuvre un plan avec ces deux contraintes en tête (objectifs et ressources). L’équipe doit également fournir des comptes rendus réguliers sur l’atteinte des objectifs ou des besoins de ressources différentes.
La direction pourra alors faire le choix de changer l’objectif ou de changer l’allocation de ressources. Donc en changeant ces deux “leviers”, la direction peut ajuster son programme de sécurité et ainsi atteindre un équilibre acceptable pour celle-ci .
L’équipe nécessaire?
La réponse rapide et facile à la question: “quelle est l’équipe minimale avoir en place dans notre organisation pour gérer la sécurité de nos systèmes d’information”?
Minimalement cela consiste à nommer une personne responsable des systèmes d’information. Il devient RSSI (Responsable de la sécurité des systèmes d’information)
Cette personne doit avoir l’autorité, les compétences et la flexibilité nécessaire pour prendre des décisions en matière de gestion de risque au nom de toute l’organisation, en collaboration avec les propriétaires des différents actifs. Il faut également comprendre que cette personne est le point central d’entrées et de sorties des décisions dans la gestion des risques d’entreprises.
Dans un monde idéal, le RSSI ne devrait pas être le directeur TI de l’entreprise. Dans le sens qu’il doit avoir la flexibilité et l’indépendance pour offrir la réflexion et un compte rendu réel de l’état de la sécurité des systèmes à la direction.
L’utilisation de firme externe est utile afin d’avoir cette indépendance pour obtenir l’état des lieux de manière neutre et objective.
Y a-t-il des procédures minimales à avoir?
L’ennemi de la sécurité est la complexité. La documentation et les procédures doivent être simples, faciles, fiables et utiliser par le plus grand nombre d’employés de l’organisation pour en assurer leur exactitude et leur bon fonctionnement.
L’objectif du programme de sécurité consiste à savoir quel type d’information possède l’entreprise, à quel endroit elle se situe et quel type de menace pèse sur l’organisation, pour mettre en œuvre les mesures de protection appropriées.
C’est pourquoi les tâches de découvrir et d’identifier le type de données utilisées et traitées par l’entreprise doivent être documentées et validées de manière à maintenir une cohérence entre la documentation et les opérations est à la base d’un programme de sécurité.
Donc les procédures minimales qu’une entreprise doit avoir opérationnalisées sont:
- Gestion des incidents: Afin de savoir quoi faire en cas d’incidents à la sécurité de l’information.
- Méthode permettant une mise à jour la plus rapide possible de tous les équipements informatiques de l’organisation.
- Procédure de sauvegarde des données: Incluant les étapes telles que la création de sauvegardes de données sur des disques durs externes ou des serveurs, le cryptage des sauvegardes et le test des sauvegardes pour s’assurer de leur exactitude.
- PCA/DRP: Un plan de continuité des activités (PCA) est un plan qui décrit comment une entreprise continuera à fonctionner en cas de sinistre. Le plan identifie les fonctions essentielles de l’entreprise et la manière dont elles seront maintenues en cas de sinistre. Il comprend également les étapes de récupération des données et de restauration des systèmes.
- Directive à propos du contrôle d’accès aux systèmes d’information et une procédure de révision de ceux-ci de manière régulière.
- Programme de formation et/ou sensibilisation des employés afin qu’ils soient familiers avec les attaques possibles, mais surtout avec les outils utilisés par l’organisation. Par exemple si l’équipe ne comprend pas comment fonctionne la voûte de mot de passe alors elle ne sera pas utilisée et alors n’aidera en rien la sécurité de l’organisation!
- Planifier régulièrement une évaluation de la sécurité technique des systèmes d’information, par minimalement un balayage de sécurité pour la découverte de vulnérabilité ou un test d’intrusion en bonne et due forme.
Quels sont les outils nécessaires?
Concernant les technologies et les outils, différentes écoles de pensée existent et suggèrent des approches plus ou moins agressives en termes de quantité ou type d’outils minimaux que les entreprises devraient avoir en place. Sachez que le choix des outils doit demeurer en lien avec les risques de l’organisation, ses objectifs en matière de sécurité de l’information ainsi que les moyens disponibles.
Cela dit, dans le contexte actuel, je crois que ces outils sont des incontournables.
- Un outil permettant une mise à jour rapide de tous les systèmes, incluant les ordinateurs de travail, les serveurs ainsi que les équipements réseau comme les commutateurs, point d’accès, etc. Ne pas oublier les objets connectés au réseau de l’organisation;
- Une voûte pour les mots de passe à toute l’équipe;
- La suite logique de la voûte est la mise en place d’authentification forte minimalement pour les systèmes exposés sur internet sinon pour tous les systèmes et pour tous les utilisateurs.
- Un outil de protection des systèmes utilisateurs (Endpoint protection) avec une console centralisée permettant de connaître l’état de protection des systèmes.
- Un outil de journalisation après avoir activé la journalisation des activités sur les systèmes et centraliser ces journaux d’activités à un autre endroit pour en autre permettre l’analyse et une alerte rapide des équipes(SIEM)
- Un outil de sauvegarde permettant de chiffrer ces données et d’en valider la qualité.
- Un outil de billetterie afin de garder une trace des activités de l’organisation(registre), telle que les exceptions aux configurations classiques, les incidents plus ou moins graves qui sont survenus, les permissions temporaires fournies à certains et bien sûr, permettre de conserver un registre que les procédures de contrôles ont bien eu lieu?
En conclusion
Mon objectif ici avec vous est de démarrer la discussion pour les petites entreprises qui n’ont pas d’expertise en matière de sécurité de l’information. Le domaine peut rapidement devenir lourd et complexe à gérer pour un président de PME.
C’est pourquoi maintenir l’accent sur la sécurité est un enjeu constant pour les experts en sécurité de l’information. Le RSSI(CISO) et le chef d’entreprise doivent travailler en équipe, dans un but commun et avec un plan bien compris par les deux.